In quali casi è richiesto un secondo controllo di sicurezza per i pagamenti digitali? Scopri quando ti viene chiesto davvero

Il secondo controllo di sicurezza scatta quando la banca o il circuito rileva rischio, quando lo impone la normativa e quando compi un’azione “sensibile” sul conto o sulla carta. In pratica: nuovi dispositivi, importi o frequenza fuori norma, primo pagamento su un merchant, beneficiari non salvati o schemi contactless oltre soglia.

È la Strong Customer Authentication: due fattori tra password/PIN, telefono/pos, biometria. È obbligatoria per molti pagamenti elettronici e per l’accesso a servizi di pagamento.

Quando scatta davvero il secondo fattore

Acquisti online con carta: viene richiesto il challenge (es. app della banca o OTP) quando l’operazione non rientra nelle esenzioni o l’analisi di rischio non è “low risk”. Spesso la vedi come flusso 3-D Secure.

Potrebbe interessarti anche

Il trattamento dei tuoi dati nelle ricariche web: quali informazioni vengono realmente memorizzateCome proteggere i dati personali durante una ricarica digitale: strategie che riducono i rischiPagare abbonamenti mensili tramite servizi di ricarica online: i vantaggi per gestire le scadenze facilmenteSi può inviare un bonifico bancario dal sito della tabaccheria? Alternativa pratica senza recarsi in banca

Primo pagamento verso un nuovo esercente o con nuova carta/dispositivo: il sistema tratta la transazione come più incerta e chiede verifica extra.

Beneficiario nuovo su bonifico o P2P: aggiungere un IBAN sconosciuto o modificare dati di un contatto fa scattare due fattori.

Contactless al POS: se superi la soglia singola (tipicamente 50 €) o quella cumulativa (circa 150 € o 5 tap senza PIN), il terminale ti chiede PIN o autenticazione.

Accesso all’app della banca o alla sezione pagamenti: rientra tra le azioni coperte da SCA, richiesta dalla PSD2.

Wallet e wearable: alla prima aggiunta della carta al wallet, o quando cambi telefono/orologio, è quasi sempre previsto un controllo forte; su pagamenti, la biometria del device funge da secondo fattore.

Le principali eccezioni (quando potresti non vederlo)

Basso importo online: transazioni sotto i 30 € possono essere esentate, finché non si sfora il contatore cumulativo.

Transazioni a basso rischio: se i parametri antifrode del PSP rispettano i tassi di frode regolamentari, l’operazione può passare senza challenge (frictionless).

Abbonamenti con importo fisso a stesso merchant: dopo la prima autenticazione, le rate successive possono essere esentate.

MIT (Merchant Initiated Transactions) e addebiti off-session: fuori ambito SCA, purché ci sia stata una prima autorizzazione valida.

Beneficiari fidati: se hai “whitelistato” un esercente in banca, spesso non serve il secondo fattore.

Parcheggi e trasporti a terminale non presidiato: in genere esentati.

MOTO (ordini telefonici/postali): non rientrano in SCA; la banca può comunque rifiutare per rischio elevato.

Cosa fa scattare l’algoritmo di rischio

Dispositivo e browser nuovi, o impronta digitale del device incoerente con lo storico.

Geolocalizzazione anomala, VPN o IP sospetti.

Mancata corrispondenza tra paese della carta, paese dell’esercente e indirizzo di spedizione.

Velocità eccessiva di tentativi, importi inusuali, carrello con beni ad alto rischio rivendita.

Storico di chargeback su quel merchant o BIN.

E-commerce, POS, bonifici: le differenze operative

E-commerce: la SCA si vede nel flusso di checkout. Se il merchant ha 3DS moderno e buone metriche antifrode, molte operazioni passano frictionless; altrimenti ricevi una notifica dall’app bancaria o un OTP via SMS.

POS fisico: SCA si manifesta come richiesta di PIN dopo alcuni tap contactless o oltre soglia. Con wallet, la biometria vale come secondo fattore già al momento del tap.

Bonifici e P2P: SCA al login e all’inserimento di un IBAN nuovo o modificato. I bonifici ricorrenti verso beneficiari salvati possono essere autorizzati con minori attriti.

Perché a volte la banca chiede il controllo anche se “dovrebbe essere esente”

La normativa consente esenzioni, ma non le impone. La banca o l’acquirer possono forzare la SCA se il rischio cresce o se i contatori di esenzione sono saturi. Può succedere anche per adeguamenti tecnici o incidenti antifrode in corso.

Come ridurre i blocchi legittimi (senza rinunciare alla sicurezza)

Usa l’app della banca aggiornata, abilita notifiche push e biometria: riduce gli OTP via SMS e accelera il challenge.

Aggiungi la carta al wallet del telefono: spesso garantisce un secondo fattore integrato più fluido.

Evita VPN/tor durante il checkout, mantieni coerenti indirizzo di fatturazione e spedizione.

Salva i beneficiari usati spesso e, se disponibile, usa la whitelist “esercente fidato”.

Non ripetere rapidamente tentativi falliti: attendi l’aggiornamento dell’app o cambia rete.

Se il codice non arriva o l’acquisto fallisce

Verifica rete e notifiche dell’app bancaria; se usi SMS, controlla copertura e numero associato.

Riapri l’app della banca e cerca la richiesta in sospeso nella sezione notifiche/autorizzazioni.

Cambia metodo: preferisci push in-app alla ricezione OTP via SMS quando possibile.

Su e-commerce, aggiorna il browser o prova la stessa carta via wallet. Se persiste, contatta l’emittente: potrebbero esserci blocchi sul profilo o sul merchant.

Controllo forte: obbligo sì, ma calibrato

La SCA mira a ridurre le frodi senza uccidere la conversione. Gli operatori bilanciano obblighi e rischio in tempo reale. Se ti viene chiesto un secondo fattore, nella maggior parte dei casi è perché l’operazione non rientra nelle esenzioni o i segnali di rischio non consentono la via rapida. Quando non lo vedi, è perché un’esenzione legittima è stata applicata o il pagamento è passato con rischio molto basso.